BTC 钱包风险检测与恢复评估 #1272

### 1. 一句话结论
钱包 1272（BTC，legacy BDB 格式）目前余额 17.201 BTC，链上历史显示 1 笔转出、3 笔转入，但**尚未获得明文密码**（cracked_password/actual_password 字段为“否”），因此该钱包仍处于“已定位、未解锁”的取证阶段。

### 2. 我们掌握的事实（证据链）
- 钱包 ID 1272，币种 BTC，余额 17.20100000，主地址 1Mb8VrC5KYy2RU2zbLoZ6Vm9aj7DpvpTD1。
- 钱包版本/格式为 bitcoin_legacy_bdb，文件大小 65536 字节，钱包名 wallet_17,2BTC / wallet_17,2.dat。
- 路径位于 /www/czb-wallet-common/datasets/fake.czb.com/BTC/review/... 之下，属于数据集/复核目录。
- 已知密码存在（cracked_password/actual_password）字段为“否”，即无强证据表明已拿到明文密码。
- 余额很小（≤阈值）业务标注为“否”，说明该钱包不属于“余额可忽略”的清理对象。
- 录入时间 2026-06-23 00:42:04，更新时间 2026-08-12 08:20:30，数据标注日期 2026-06-23 00:57:34。
- 链上摘要：最后转出 2011-12-15 19:18:42，最后转入 2013-07-09 00:26:23；转出 1 笔、转入 3 笔；近 30 天转出/转入均为 0；交易时间跨度 571 天。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包最早是在 2026-06-23 00:42:04 被录入系统的，随后在 00:57:34 被打上数据标注，说明它一开始就被当作一个需要复核的对象。它的路径落在 fake.czb.com 的 review 目录下，文件名里直接带着“17,2BTC”的字样，和余额 17.20100000 基本对得上，这让我们确认它不是随机样本，而是一个有明确余额指向的 legacy BDB 钱包。之后到 2026-08-12 08:20:30 有一次更新，但已知密码存在字段仍然是“否”，意味着这段时间里我们并没有拿到可验证的明文密码。整个过程更像是在“确认它是什么、值不值得继续投入”，而不是已经完成了破解。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
按 wallet_transactions.direction 统计：转出（send）1 笔，转入（receive）3 笔。最后转出发生在 2011-12-15 19:18:42，最后转入发生在 2013-07-09 00:26:23，交易时间跨度为 571 天。近 30 天转出 0 笔、转入 0 笔，说明该地址近期没有新的链上活动。除上述统计外，具体每笔交易的对手方、金额与用途未在给定数据中同步，属于未知，不做方向或目的上的推断。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
需要区分两件事：第一，余额很小（≤阈值）的业务标注为“否”，这只说明该钱包余额不属于“可忽略”的小额清理范围，并不等于余额为零；第二，已知密码存在（cracked_password/actual_password）为“否”，这是强证据字段，说明**尚未获得明文密码，仍处于测试/未验证成功状态**。因此当前不能写“已破解”或“已验证成功”，只能写“未拿到明文密码”。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. 补充该钱包在 wallet_transactions 中的逐笔明细，确认 1 笔转出与 3 笔转入的具体时间、金额与地址。
2. 补充 cracked_password/actual_password 字段的历次变更记录，确认是否曾出现过“是”。
3. 补充该钱包在数据集中的来源说明，确认 fake.czb.com/review 目录的采集背景。
4. 补充同批次其他钱包的格式与状态，判断 bitcoin_legacy_bdb 是否为该批次统一格式。
5. 补充钱包文件的哈希或校验信息，便于后续比对是否被替换或修改。
6. 补充录入时间与标注时间之间的操作日志，确认当时做过哪些合规检查。
7. 补充更新时间 2026-08-12 对应的操作记录，确认这次更新改了什么。
8. 补充该主地址在链上的完整交易图谱，用于交叉验证转入/转出统计。

### 7. 已尝试方向回顾（避免重复投入）
- 已确认钱包格式为 bitcoin_legacy_bdb、文件大小 65536 字节，属于 legacy BDB 结构，无需重复做格式识别。
- 已确认余额为 17.20100000，且“余额很小”标注为“否”，不必再按小额钱包流程处理。
- 已确认已知密码存在字段为“否”，在没有新证据前，不应重复宣称“已拿到密码”。
- 已确认链上统计为转出 1 笔、转入 3 笔，近 30 天无活动，重复拉取近期交易不会带来新信息。
- 已确认路径位于 review 目录，重复做路径归属判断意义有限，应转向补充逐笔交易与操作日志。